CVE-2026-70632 in FFmpeg
Zusammenfassung
von VulDB • 07.08.2026
In FFmpeg-Versionen ab 4.4 bis einschließlich (exklusive) Version 9.0 liegt eine Out-of-Bounds-Heap-Schreibverwundbarkeit im nativen GoPro CineForm HD (CFHD)-Decoder vor, die es Remote-Angriffern ermöglicht, den Heap-Speicher zu beschädigen, indem sie während der Stream-Probe eine manipulierte AVI-Datei bereitstellen. Die Funktion cfhd_decode() sorgt nicht für die Einhaltung der Invariante der logischen Ausgabebreite ohne Bayer-Muster im Transformations-Typ-2-Rekonstruktionspfad, wodurch horiz_filter_clip() überdimensionierte 16-Bit-Sample-Zeilen weit außerhalb des zugewiesenen Ausgabe-Framespeichers schreibt. Dies kann durch Überschreiben eines lebenden Cleanup-Callback-Poinzers zur Ausführung beliebigen Codes eskaliert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.